摘要： 介紹了3DES加密算法的原理并詳盡描述了該算法的FPGA設計實現。采用了狀態機和流水線技術，使得在面積和速度上達到最佳優化；添加了輸入和輸出接口的設計以增強該算法應用的靈活性。各模塊均用硬件描述語言實現，最終下載到FPGA芯片Stratix EP1S25F780C5中。
　　關鍵詞： 狀態機 流水線 3DFS FPGA
　　隨著網絡的快速發展，信息安全越來越引起人們的關注。加密技術作為信息安全的利器，正發揮著重大的作用。通過在硬件設備（如由器、交換機等）中添加解密功能，可使存儲和傳輸的數據具有較高的安全性。傳統的加密工作是通過在主機上運行加密軟件實現的。這種方法除占用主機資源外，其運算速度較硬件加密要慢，密鑰以明文的方式存儲在程序中，或者以加密的方式存儲在文件或數字庫中，重要數據（如個人密碼PIN等）會在某一時刻以明文形式出現在計算機的內存或磁盤中，安全性較差。而硬件加密是通過獨立于主機系統外的硬件加密設備實現的，所有關鍵數據的存儲、運算都通過硬件實現，不占主機資源、速度快、安全性較高。
　　
　　盡管DES已被證實是不安全的算法（主要是密鑰太短），但三重DES增加了密鑰長度，由56位增加到112或168位，有更高的安全性，而且在新一代因特網安全標準IPSEC協議集中已將DES作為加密標準。另一方面，基于DES算法的加/解密硬件目前已廣泛應用于國內外衛星通信、網關服務器、機頂盒、視頻傳輸以及其它大量的數據傳輸業務中。利用3DES可以使原系統不作大的改動。所以對3DES的研究仍有很大的現實意義。
　　1 3DES加密算法描述
　　DES成為一個世界范圍內的標準已經20多年了，很好地抗住了多年的密碼分析，除最強有力的可能敵手外，對其它的攻擊仍是安全的。DES對64位的明文分組進行操作，通過一個初始置換，將明文分成左半部分和右半部分，然后進行16輪完全相同的運算，最后經過一個末置換便得到64位密文。每一輪的運算包含擴展置換、S盒代換、P盒置換和兩次異或運算，另外每一輪中還有一個輪密鑰（子密鑰）。整體框圖如圖1所示。
　
　　3DES（即Triple DES）是DES向AES過渡的加密算法（1999年，NIST將3-DES指定為過渡的加密標準），是DES的一個更安全的變形。它以DES為基本模塊，通過組合分組方法設計出分組加密算法，其具體實現如下：設Ek（）和Dk（）代表DES算法的加密和解密過程，K代表DES算法使用的密鑰，P代表明文，C代表密表，這樣，
　　3DES加密過程為：C=Ek3（Dk2（Ek1（P）））
　　3DES解密過程為：P=Dk1（（EK2（Dk3（C）））
　　具體的加/解密過程如圖2所示。K1、K2、K3決定了算法的安全性，若三個密鑰互不相同，本質上就相當于用一個長為168位的密鑰進行加密。多年來，它在對付強力攻擊時是比較安全的。若數據對安全性要求不那么高，K1可以等于K3。在這種情況下，密鑰的有效長度為112位。
　　
　　2 FPGA設計實現
　　2．1 FPGA設計的優勢
　　用硬件實現某種密碼算法，首先要用硬件描述語言（如HHDL、Verlog HDL）進行系統設計和編碼，然后采用專用集成電路（ASIC）或現場可編程邏輯門陣列（FPGA）來具體實現。采用ASIC方法設計周期較長，且費用也較昂貴；而采用FPGA，可由設計者自己對芯片內部單元進行配置，設計比較靈活，只需改變配置就可實現安全不同的功能，大大縮短了設計周期和開發時間，節省人力物力，同時經過優化可以達到較高的性能。另外，有多種EDA開發軟件支持FPGA的設計，在本設計中作者采用了ALTERA公司的Quartus II開發軟件。
　　2．2 狀態機和流水線技術的應用
　　面積和速度這兩個指標貫穿著FPGA設計的始終，是設計質量評價的終極標準。設計目標就是在滿足給定的時序要求（包含對設計頻率的要求）的前提下，占用較小的芯片面積；或者在所規定的面積下，使設計時序余小量更大，頻率更高。通過功能模塊復用可減少設計消耗的芯片面積；反之，并行復制多個操作模塊可較大地提高設計頻率。在本設計中充分考慮了這一對矜持體，采用狀態機和流水線相結合的技術，使得在減少芯片資源消耗的情況下又能提高設計頻率。
　　狀態機是組合邏輯和寄存器邏輯的特殊組合，尤其適合于數字系統的控制設計。系統的狀態在一定的條件下相互轉移。分析DES的算法結構可以發現，輪運算是相同的，只是輸入子密鑰不同，同時各輪的子密鑰都可以通過密鑰移位再經過一個壓縮置換操作直接得到，所以通過密鑰移位現經過一個壓縮置換操作直接得到，所以將輪運算作為一個共享模塊，反復進行該操作，其輸入參數由狀態機控制部分提供，主要是密鑰移位的位數。只在空閑狀態下將輪運算結果輸出。因數據端是16位，故每個狀態機模塊中進行四輪輪運算。
　　
　　流水線處理是高速設計中的一個常用設計手段。如果某個設計的處理流程可分為若干步驟，而且整個數據處理是“單流向”的，即沒有反饋，前一個步驟的輸出是下一個步驟的輸入，則可以考慮用流水線設計方法提高系統的工作頻率。流水線設計是一種技巧，它在很長組合路徑的中間點引入寄存器。寄存器會增加等待時間，但卻能增加速度，減少邏輯級。此外，附加寄存器雖然會增加一定的功耗，但卻極大地減少了毛刺。流水線處理方式之所以頻率較高，是因為復制了處理模塊，它是FPGA設計中面積換取速度思想的具體體現。DES的16輪運算結構是相同的，符合流水線設計的要求，所以基于DES的結構特點，將前面的狀態機模塊作為流水線的一個單元，這樣DES共有四個狀態，串聯起來形成四級流水線。因狀態機中有寄存器，能保證流水線的工作，所以各單元間不需再加寄存器。狀態機及流水線結構如圖3所示，圖中給出了由密鑰直接生成各子密鑰的移位數。將DES模塊復制三份，就形成了16級流水線，所不同的是流水線內部是狀態機結構，所以每四個時鐘周期才會得到一組加/解密結果。這種結構同樣適用于數據端是8位和32位的。